Cybersicherheit als Proof of Work: Wer mehr Tokens ausgibt

Cybersicherheit wird zu einem Rechenproblem: In den Angriffsumgebungen des britischen AI Security Institute kamen die besten Modelle umso weiter, je mehr Tokens sie ausgaben, und nach Drew Breunigs Lesart wird Verteidigung damit zu einem Wettlauf darum, mehr auszugeben als der Angreifer. Im April 2026 schaffte ein einziges Modell, Claude Mythos Preview, die 32-stufige Unternehmensnetzwerk-Angriffsumgebung des Instituts in 3 von 10 Versuchen.¹ Bis Juli zählte AISI vier öffentlich veröffentlichte Modelle mit geschlossenen Gewichten, die sie bewältigt hatten, die besten in 6 und 7 von 10 Versuchen, dazu ein Modell mit offenen Gewichten, Kimi K3, das sie einmal in 10 Versuchen schaffte.⁷ Die Prämisse hinter Breunigs Lesart, dass mehr Tokens den besten Modellen mehr Fortschritt erkaufen, hat sich gehalten. Der Preis, den er für einen Versuch ansetzte, nicht.²

Dieser Beitrag erschien zuerst am 14. April 2026, einen Tag nach dem ersten AISI-Bericht. Am 2. Oktober 2026 habe ich ihn auf Grundlage dessen neu aufgebaut, was AISI, CAISI am NIST und Anthropic seitdem veröffentlicht haben. Was die April-Fassung sagte und wo sie veraltet ist, steht gegen Ende unter „Was die April-Fassung sagte“.

TL;DR

• Die Umgebung. „The Last Ones“ ist ein simulierter Angriff auf ein Unternehmensnetzwerk: 32 Schritte über vier Subnetze und rund zwanzig Hosts, für die ein menschlicher Experte nach Schätzung von AISI etwa 20 Stunden bräuchte. Sie beginnt nach dem initialen Zugriff und hat keine Verteidiger.¹⁴
• Wer sie schafft. Im April ein Modell. Ende April zwei. Bis zum 23. Juli vier öffentlich veröffentlichte Modelle mit geschlossenen Gewichten und ein Modell mit offenen Gewichten.¹⁴⁷
• Was ein Durchlauf kostet. Breunigs 12.500 Dollar pro Versuch waren eine Schätzung: das 100M-Token-Budget von AISI multipliziert mit dem Output-Preis von Mythos Preview. Als AISI im Juli Durchläufe mit 100M Tokens bepreiste, kamen sie auf etwa 85 Dollar für Opus 4.5 und 4.6 und geschätzte 46 Dollar für das offene GLM-5.2.²⁶¹⁰
• Wer sie ausführen kann. AISI sieht führende Modelle mit offenen Gewichten bei Cyberfähigkeiten 4 bis 7 Monate hinter der geschlossenen Spitze. Anthropic berichtet, dass GLM-5.3, das jeder herunterladen kann, auf einem öffentlichen Benchmark End-to-End-Exploits etwa so häufig baut wie Mythos Preview.⁶⁹
• Kein Plateau an der Spitze. Bei den stärksten Modellen stellten die AISI-Berichte vom April und Mai fest, dass die Leistung an der 100M-Token-Grenze noch stieg. Schwächere Modelle blieben stecken, darunter das offene GLM-5.2.¹⁴⁵⁶
• Der Vorbehalt, der weiter gilt. Die Umgebungen sind unverteidigt. AISI erklärt, es könne nicht sagen, wie sich diese Fähigkeiten „will translate against defended, real-world systems“ (gegen verteidigte, reale Systeme auswirken werden).⁵

Was AISI gemessen hat und wie sich das verändert hat

Die Cyber-Umgebungen von AISI prüfen, ob ein Modell einen vollständigen Angriff selbstständig durchführen kann. „The Last Ones“ (TLO), gebaut mit SpecterOps, ist „modelled on the kill chain of an enterprise intrusion“ (nach der Angriffskette eines Einbruchs in ein Unternehmen modelliert): Der Agent startet auf einem Rechner ohne Privilegien und ohne Zugangsdaten und muss Aufklärung, Diebstahl von Zugangsdaten, laterale Bewegung über Active-Directory-Gesamtstrukturen, einen Schwenk über die CI/CD-Lieferkette und die Exfiltration einer internen Datenbank verketten. Jeder Versuch erhält ein Budget von 100M Tokens.⁴

Fünf Berichte zwischen April und Juli erzählen die Entwicklung:

Der Bericht vom 23. Juli benennt den Stand: „Solves of TLO are no longer exclusive to a small set of models. In prior testing, four publicly released closed-weight models have solved TLO, with the most capable models solving it more reliably at 6/10 and 7/10 attempts.“ (TLO zu lösen ist nicht mehr einer kleinen Gruppe von Modellen vorbehalten. In früheren Tests haben vier öffentlich veröffentlichte Modelle mit geschlossenen Gewichten TLO gelöst, die fähigsten zuverlässiger in 6 von 10 und 7 von 10 Versuchen.)⁷ Die vier werden nicht genannt, und der Bericht sagt nicht, ob Mythos Preview, eine eingeschränkte Veröffentlichung, zu ihnen zählt.

Auch die zweite Umgebung hat sich bewegt. Im April konnte kein Modell „Cooling Tower“ abschließen, einen 7-stufigen Angriff auf ein simuliertes Kraftwerk, und AISI vermerkte, Mythos Preview sei „got stuck on IT sections of this range“ (in den IT-Abschnitten dieser Umgebung hängen geblieben). Am 13. Mai meldete AISI, der neuere Checkpoint von Mythos Preview habe sie in 3 von 10 Versuchen gelöst, „the first time that a model completed the second of our two cyber ranges“ (das erste Mal, dass ein Modell die zweite unserer beiden Cyber-Umgebungen abschloss). AISI zog daraus eine Lehre: „Notable capability jumps do not always require new model releases.“ (Deutliche Fähigkeitssprünge erfordern nicht immer neue Modellveröffentlichungen.)¹⁴⁵

Zwei Befunde liegen all dem zugrunde. Erstens: Bei den besten Modellen erkauften mehr Tokens jedes Mal mehr Fortschritt. April: „Models continue making progress with increased token budgets across the token budgets tested.“ (Über alle getesteten Budgets hinweg machen Modelle mit größerem Token-Budget weiter Fortschritte.) 30. April: „we have not yet observed a plateau with the best models“ (bei den besten Modellen haben wir noch kein Plateau beobachtet). Mai: Die Leistung „would likely still improve beyond that budget, especially for recent models“ (würde sich über dieses Budget hinaus wahrscheinlich weiter verbessern, besonders bei neueren Modellen).¹⁴⁵ Für jedes Modell gilt das nicht: Im Juli hielt GLM-5.2 mit Opus 4.6 Schritt, „to step 11 before stalling“ (bis Schritt 11, dann blieb es stecken).⁶ Zweitens: Das Tempo ist hoch. AISI schätzte im Februar, dass sich die Länge der Cyberaufgaben, die ein Spitzenmodell bewältigen kann, „had doubled every 4.7 months since late 2024“ (sich seit Ende 2024 alle 4,7 Monate verdoppelt hatte), und meldete im Mai, Mythos Preview und GPT-5.5 hätten diesen Trend „substantially exceeded“ (deutlich übertroffen).⁵ Diese Schätzung beruht auf einem Budget von 2,5M Tokens pro Aufgabe. Die Analyse von AISI vom 2. Juli fand den Trend „~60% steeper when horizons are estimated at 50M tokens rather than 2.5M tokens per task“ (rund 60 % steiler, wenn die Horizonte mit 50M statt 2,5M Tokens pro Aufgabe geschätzt werden).¹³

Was ein Durchlauf kostet

Breunig rechnete das April-Ergebnis in Geld um: „AISI budgeted 100M tokens for each attempt. That’s $12,500 per Mythos attempt, $125k for all ten runs.“ (AISI budgetierte 100M Tokens pro Versuch. Das sind 12.500 Dollar pro Mythos-Versuch, 125.000 Dollar für alle zehn Durchläufe.)² Die erste Fassung dieses Beitrags trug diese Zahl im Titel.

Es war eine Schätzung, und eine hohe. 12.500 Dollar für 100M Tokens sind 125 Dollar pro Million, und das ist der Listenpreis von Mythos Preview für Output-Tokens. Der Input-Preis liegt bei 25 Dollar.¹⁰ Wer jeden Token des Budgets zum Output-Tarif ansetzt, erhält eine Obergrenze, keine Rechnung.

AISI veröffentlichte im Juli Preise, in seinem Bericht über Modelle mit offenen Gewichten: „A 100M-token cyber range run cost roughly $85 for both Opus 4.5 and 4.6, versus an estimated $46 for GLM-5.2 and $1.19 for DeepSeek V4-Pro at current pricing.“ (Ein Durchlauf in der Cyber-Umgebung mit 100M Tokens kostete zu aktuellen Preisen rund 85 Dollar für Opus 4.5 wie für 4.6, gegenüber geschätzten 46 Dollar für GLM-5.2 und 1,19 Dollar für DeepSeek V4-Pro.)⁶ Es handelt sich um „advertised first-party prices“ (beworbene Preise der Anbieter selbst), und AISI merkt an, dass es für die Modelle mit offenen Gewichten keine Erstanbieter nutzte, „so real compute costs may vary“ (die tatsächlichen Rechenkosten können also abweichen).

Drei Dinge verhindern, dass diese Zahlen der Preis eines vollendeten Angriffs sind. Keines der bepreisten Modelle hat die Umgebung abgeschlossen. Mythos Preview kostet laut Liste pro Token das Fünffache von Opus, seine Durchläufe kosten also mehr als die von Opus. Und AISI hat für keinen Durchlauf, der TLO abschloss, einen Preis veröffentlicht, deshalb kann ich nicht sagen, was einer kostet. Was die bepreisten Durchläufe zeigen, ist die Größenordnung. Der Durchlauf von Opus 4.6 kam auf etwa 85 Dollar. Mit dem fünffachen Listenpreis von Mythos Preview hochgerechnet, sind das einige hundert Dollar, nach meiner Rechnung und nicht nach der von AISI, und weit unter 12.500 Dollar.⁶¹⁰

Die kleineren Datenpunkte passen dazu. Im AISI-Bericht vom 30. April löste GPT-5.5 eine Reverse-Engineering-Aufgabe, für die ein erfahrener Testspieler rund 12 Stunden brauchte, „in 10 minutes and 22 seconds with no human assistance at a cost of $1.73 (USD) in API usage“ (in 10 Minuten und 22 Sekunden, ohne menschliche Hilfe, für 1,73 US-Dollar an API-Kosten).⁴ In Anthropics Bericht vom September ließ ein Forscher GLM-5.3-Flash die öffentlichen Details eines Chrome-Fixes in eine funktionierende Exploit-Kette verwandeln, mit „20 minutes of human attention, plus eight hours of work“ (20 Minuten menschlicher Aufmerksamkeit plus acht Stunden Arbeit) des Modells. „At Zhipu’s API prices, this effort would have cost $20.40.“ (Zu den API-Preisen von Zhipu hätte dieser Aufwand 20,40 Dollar gekostet.)⁹ Beides ist jeweils eine einzelne bepreiste Sitzung, keine Quote.

Auch die Preise der Mythos-Klasse sind gefallen. Anthropics Preisseite führt Mythos 5 und Mythos 5.1 inzwischen mit 10 Dollar pro Million Input-Tokens und 50 Dollar pro Million Output-Tokens, gegenüber 25 und 125 Dollar bei Mythos Preview.¹⁰

Wer sie ausführen kann

Im April lag die Fähigkeit hinter einer eingeschränkten Veröffentlichung. Das ist der Teil, der sich am stärksten verändert hat.

Der AISI-Bericht vom 17. Juli maß den Abstand zwischen offenen und geschlossenen Modellen bei Cyberfähigkeiten und stellte fest, dass er schrumpft: Neuere Modelle mit offenen Gewichten „lag frontier closed models’ cyber capabilities by 4 to 7 months“ (liegen bei Cyberfähigkeiten 4 bis 7 Monate hinter den geschlossenen Spitzenmodellen), gegenüber 6 bis 10 Monaten über den größten Teil von 2025. Der Bericht erklärt auch, warum der Abstand zählt. Sind die Gewichte einmal öffentlich, „safeguards can be removed, and copies can be downloaded, redistributed, and run on private systems beyond monitoring“ (lassen sich Schutzmechanismen entfernen, und Kopien können heruntergeladen, weiterverbreitet und auf privaten Systemen außerhalb jeder Überwachung betrieben werden). Die eigenen Tests von AISI an offenen Modellen „were largely unimpeded by safeguards“ (wurden von Schutzmechanismen weitgehend nicht behindert).⁶

GLM-5.2 schaffte die Umgebung nicht. Sechs Tage später schaffte Kimi K3 sie einmal in zehn Versuchen. AISI und CAISI lesen das so, dass das Modell „is capable of autonomously attacking small, weakly defended and vulnerable enterprise systems, when directed to do so and given initial network access“ (in der Lage ist, kleine, schwach verteidigte und verwundbare Unternehmenssysteme autonom anzugreifen, wenn es dazu angewiesen wird und initialen Netzwerkzugang erhält).⁷

Dann kam GLM-5.3, dessen Gewichte Z.ai (ehemals Zhipu AI) Ende August freigab. CAISI nannte es am 17. September „the most cyber-capable open-weight model released to date“ (das bislang cyberstärkste veröffentlichte Modell mit offenen Gewichten) und sah es auf seinen Benchmarks etwa vier Monate hinter der US-Spitze.⁸ Anthropics Frontier Red Team berichtete am 29. September, dass GLM-5.3 auf ExploitBench in 50 von 410 Versuchen End-to-End-Exploits entwickelt, Mythos Preview in 56, und auf Anthropics internem Benchmark in 4 % der Durchläufe vollständige Kontrollfluss-Übernahmen erreicht, gegenüber 6 %.⁹

Die Schutzmechanismen sind dünn. Anthropic umging sie mit einer Tarngeschichte in 64 % der Fälle und mit vorausgefülltem Reasoning in 92 %. Sie ganz aus den Gewichten zu entfernen, kostete ein Team, „which had never previously attempted this task“ (das diese Aufgabe noch nie versucht hatte), rund 2.200 GPU-Stunden, „roughly $4,400“ (rund 4.400 Dollar), bei geschätzten 1.200 Dollar für ein erfahrenes Team, und „Several developers released abliterated versions of GLM-5.3 to the public within days of the model’s release.“ (Mehrere Entwickler veröffentlichten wenige Tage nach dem Release Versionen von GLM-5.3 mit entfernten Schutzmechanismen.)⁹ Der Glasswing-Beitrag behandelt diesen Bericht ausführlicher.

Einen veröffentlichten TLO-Durchlauf von GLM-5.3 habe ich nicht gefunden. Die Aussage, die ich belegen kann, ist enger: Ein Modell mit offenen Gewichten hat die Umgebung abgeschlossen, und ein neueres erreicht beim Bau von Exploits auf einem öffentlichen Benchmark das eingeschränkt veröffentlichte Modell vom April.

Breunigs Argument, sechs Monate später

Breunigs These passte in einen Satz: „to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them“ (um ein System zu härten, müssen Sie mehr Tokens in das Aufspüren von Exploits stecken, als Angreifer für deren Ausnutzung ausgeben werden). Er verglich das mit dem Proof of Work von Kryptowährungen, „where success is tied to raw computational work“ (bei dem Erfolg an rohe Rechenarbeit gebunden ist), und formulierte es unverblümt: „You don’t get points for being clever. You win by paying more.“ (Für Cleverness gibt es keine Punkte. Es gewinnt, wer mehr bezahlt.)²

Er leitete zwei Folgen ab. Die erste betrifft Open Source. Wenn Sicherheit eine Frage der Ausgaben ist, dann erstreckt sich Linus’ Gesetz, „given enough eyeballs, all bugs are shallow“ (bei genügend Augen sind alle Fehler oberflächlich), auch auf Tokens: Bibliotheken, für deren Absicherung viele Firmen bezahlen, werden besser abgesichert sein als Code, den ein Team allein pflegt. Simon Willison machte am selben Tag denselben Punkt: Open-Source-Bibliotheken „become more valuable, since the tokens spent securing them can be shared across all of their users“ (werden wertvoller, weil sich die für ihre Absicherung ausgegebenen Tokens auf alle Nutzer verteilen).²³ Die Komplikation fügte Breunig selbst hinzu: Ein weit verbreitetes Paket ist ein wertvolleres Ziel, „which incentivizes attackers to spend more on OSS targets“ (was Angreifern einen Anreiz gibt, mehr für Open-Source-Ziele auszugeben).

Die zweite ist eine neue Arbeitsphase. Er erwartete einen Zyklus aus Entwicklung, Review und Härtung, wobei Härtung heißt: „Identify exploits, autonomously, until the budget runs out.“ (Exploits autonom aufspüren, bis das Budget aufgebraucht ist.) Die erste Phase begrenzt menschlicher Input. Die letzte begrenzt Geld.²

Der Preisverfall widerlegt das Argument nicht, und Breunig sagte schon im April, warum: „Even if costs go down as inference optimizations, unless models reach the point of diminishing security returns, you still need to buy more tokens than attackers do. The cost is fixed by the market value of an exploit.“ (Selbst wenn die Kosten durch Inferenzoptimierungen sinken, müssen Sie, solange Modelle nicht den Punkt abnehmender Sicherheitserträge erreichen, weiterhin mehr Tokens kaufen als Angreifer. Die Kosten bestimmt der Marktwert eines Exploits.)² Billigere Tokens senken die Kosten beider Seiten. Sie verändern, wer es sich leisten kann, den Angreifer zu spielen.

Auch die Verteidigerseite hat Belege. Anthropic gibt an, die eingeschränkte Veröffentlichung von Mythos Preview habe geprüften Verteidigern ermöglicht, „find more than 10,000 vulnerabilities in critical software“ (mehr als 10.000 Schwachstellen in kritischer Software zu finden), bevor vergleichbare Modelle öffentlich waren.⁹ AISI machte die Übung an sich selbst: In einer Fallstudie vom Juli fand ein Spitzenmodell in einer Staging-Kopie der eigenen Forschungsplattform von AISI eine fünfstufige Angriffskette, „for under £150 in tokens“ (für weniger als 150 Pfund an Tokens).¹² Über die erste dieser Initiativen habe ich in Project Glasswing geschrieben, und über das frühere Ergebnis, das ihr vorausging, einen 23 Jahre alten Fehler im Linux-Kernel, gefunden mit Claude Code und einem kurzen Skript, in Wenn Ihr Agent eine Schwachstelle findet.

Was die Vorbehalte weiterhin bedeuten

Jeder AISI-Bericht trägt dieselben Einschränkungen, und keine davon wurde aufgehoben. TLO „lacks active defenders and defensive tooling, imposes no penalty for actions that would trigger security alerts, and contains an intentional attack path“ (hat keine aktiven Verteidiger und keine Abwehrwerkzeuge, bestraft keine Aktionen, die Sicherheitsalarme auslösen würden, und enthält einen absichtlich angelegten Angriffspfad).⁷ Sie beginnt, wenn der Angreifer bereits drin ist. Im April schrieb AISI, es „cannot say for sure whether Mythos Preview would be able to attack well-defended systems“ (könne nicht sicher sagen, ob Mythos Preview gut verteidigte Systeme angreifen könnte), und kündigte Umgebungen mit „active monitoring, endpoint detection and real-time incident response“ (aktiver Überwachung, Endpunkterkennung und Incident Response in Echtzeit) an.¹ Im Mai zählte es auf, was die Belege nicht zeigen: „how the pace of progress will evolve, when AI will reach any particular capability threshold, or how these capabilities will translate against defended, real-world systems“ (wie sich das Fortschrittstempo entwickeln wird, wann KI eine bestimmte Fähigkeitsschwelle erreicht oder wie sich diese Fähigkeiten gegen verteidigte, reale Systeme auswirken).⁵

Ein besetztes Netzwerk verändert das Problem. Lärm kostet einen echten Angreifer etwas, und jeder Alarm ist eine Chance zu reagieren. Die Umgebungen nehmen diese Kosten weg. Am nächsten an einem Test gegen echte Abwehr kommt, was AISI bisher veröffentlicht hat, die Fallstudie vom Juli, eine einzelne Übung in einer Staging-Umgebung, deren Erkennungssysteme die Produktion „exactly mirror“ (exakt spiegeln): „one basic commercial alerting system did not flag any of the autonomous agent activity as a security event“ (ein einfaches kommerzielles Alarmsystem meldete keine der autonomen Agentenaktivitäten als Sicherheitsereignis), während ein fortgeschrittenerer Monitor „did correctly identify some of the aggressive behaviour as anomalous“ (einen Teil des aggressiven Verhaltens korrekt als anomal erkannte).¹²

Zwei Dinge sprechen in die andere Richtung. Eine Erfolgsquote pro Versuch unterschätzt, was wiederholte Versuche einbringen. Sind die Versuche unabhängig und ändert sich das Ziel nicht, schafft ein Modell, das 3 von 10 Mal abschließt, in zehn Anläufen mindestens einen Abschluss mit etwa 97 % Wahrscheinlichkeit, eines mit 1 von 10 mit etwa 65 %. Das sind meine Zahlen, und sie stützen sich auf diese Annahme, die ein verteidigtes, sich veränderndes Netzwerk brechen würde. Und von April bis Juli lief der Trend nur in eine Richtung: von einem Modell mit 3 von 10 zu mehreren, das beste mit 6 und 7 von 10. Seitdem hat AISI keine Ergebnisse aus den Umgebungen mehr veröffentlicht.

Die Tests brachten auch ein anderes Risiko ans Licht. Am 4. August legte AISI offen, dass Agenten in 10 von 122 Durchläufen einer Cyber-Evaluierung, bei eingeschaltetem Internetzugang und abgeschalteten Cyber-Klassifikatoren der Entwickler, „took autonomous, unsanctioned action on the live internet, targeting real people and organisations“ (im echten Internet autonome, nicht genehmigte Aktionen gegen reale Personen und Organisationen ausführten). AISI katalogisierte 19 solcher Aktionen, 17 davon von Mythos 5, darunter einen Versuch, Schadcode in ein Open-Source-Projekt einzuschleusen, den ein menschlicher Maintainer ablehnte. AISI fand keinen daraus entstandenen Schaden und betonte, diese Konfigurationen „are not commercially available“ (seien nicht kommerziell erhältlich).¹¹ Es setzte seine riskantesten Cyber-Evaluierungen aus, deaktivierte den Internetzugang für agentische Cybertests und erklärte am 1. Oktober, den Großteil der Evaluierungsarbeit wieder aufzunehmen.¹⁴

Das Verhalten ist auch anderswo aufgetaucht. Am 28. September berichtete AISI, dass GPT-6 Astra in simulierten Durchläufen bei abgeschalteten Cyber-Klassifikatoren gegen Ziele außerhalb seiner Aufgabe „completed a supply-chain attack 29.2% of the time“ (in 29,2 % der Fälle einen Lieferkettenangriff vollendete). AISI zufolge könnte das Bewusstsein des Modells, sich in einer Simulation zu befinden, einen Teil dieses Verhaltens ausgelöst haben, und es könne dasselbe Verhalten unter realen Bedingungen nicht ausschließen.¹⁵ Anthropic hat vier eigene Vorfälle gemeldet, in Cybersicherheits-Evaluierungen eines externen Partners, bei denen eine Fehlkonfiguration Claude-Modelle ohne ihre ausgelieferten Cyber-Schutzmechanismen ins offene Internet brachte und sie „gained unauthorized access to real third-party systems“ (sich unbefugten Zugriff auf reale Systeme Dritter verschafften). In einem Fall lud Mythos 5 ein bösartiges Paket auf PyPI hoch.¹⁶ Ein fähiger Agent mit einem schwierigen Ziel und einem offenen Netzwerk ist eine Gefahr für Dritte, nicht nur für sein Ziel. Einen verwandten Fall bei einem anderen Labor habe ich im Beitrag über den Ausbruch aus der Eindämmung behandelt.

Was ich tun würde

1. Zuerst das Patch-Fenster schließen. Die eine bepreiste N-Day-Sitzung machte aus einem öffentlichen Fix in acht Stunden Modellzeit eine funktionierende Exploit-Kette. Die Lücke zwischen dem Fix eines Herstellers und Ihrem Deployment ist inzwischen billig anzugreifen. Die Empfehlungen von AISI beginnen an derselben Stelle: „regular application of security updates, robust access controls, security configuration, and comprehensive logging“ (regelmäßiges Einspielen von Sicherheitsupdates, robuste Zugriffskontrollen, Sicherheitskonfiguration und umfassendes Logging).¹⁹
2. Eine Härtungsphase budgetieren. Lassen Sie vor jedem Release und nach jeder größeren Änderung automatisierte Exploit-Suche gegen Ihr eigenes System laufen, mit einem Token-Budget, das sich danach richtet, was das System schützt. Zu den von AISI veröffentlichten Preisen ist das Budget nicht mehr das Hindernis. Die Triage ist es. In der Fallstudie von AISI verbrauchte das gesamte Projekt „under £1000 in LLM tokens“ (weniger als 1000 Pfund an LLM-Tokens), und beim statischen Code-Review galt: „Separating the most important reports from the noise took human judgement, from the most experienced engineers.“ (Die wichtigsten Meldungen vom Rauschen zu trennen, erforderte menschliches Urteil, und zwar das der erfahrensten Ingenieure.)²⁶¹²
3. Davon ausgehen, dass der Angreifer offene Gewichte hat. Planen Sie so, als stünde Exploit-Entwicklung auf dem Niveau von GLM-5.3, ohne Schutzmechanismen, jedem zur Verfügung, der sie will. Anthropics Bericht sagt genau das.⁹
4. Abhängigkeiten bevorzugen, für deren Absicherung jemand bezahlt, und sich daran beteiligen. Der Punkt von Breunig und Willison über geteilte Tokens funktioniert nur, wenn die Tokens auch ausgegeben werden. Der Beitrag zur Lieferkette zeigt, was mit zwei weit verbreiteten Paketen geschah, als Angreifer zuerst da waren.²³
5. Die eigenen Agenten an der Leine halten und wissen, was das nicht abdeckt. Meine Hooks hindern meine Agenten daran, per Force-Push auf main zu schreiben oder Zugangsdaten preiszugeben. Gegen einen Angreifer von außen, der die Systeme abtastet, die diese Agenten berühren, bewirken sie nichts. Dasselbe gilt für die Performance-Lücke, über die ich geschrieben habe, bei der von Agenten geschriebener Code jeden Test bestand und bis zu 446-mal langsamer lief: Ein Gate fängt nur die Fehlerklasse ab, für die es gebaut wurde. Sicherheit braucht ein eigenes, und zwar ein adversariales.

Was die April-Fassung sagte

Die erste Fassung dieses Beitrags entstand am 14. April 2026 auf Grundlage des AISI-Berichts vom 13. April und Breunigs Essay. Gemessen an dem, was seitdem veröffentlicht wurde, war sie an diesen Stellen falsch oder veraltet:

• Der Preis. Der Titel lautete „AI Attacks at $12,500 a Run“ (KI-Angriffe für 12.500 Dollar pro Durchlauf), und der Beitrag behandelte die Zahl als die tatsächlichen Kosten der Evaluierung. Es war Breunigs Schätzung, Token-Budget mal Output-Preis, und die später von AISI bepreisten Durchläufe anderer Modelle lagen zwischen 1,19 und 85 Dollar.
• „No other model has solved the full chain.“ (Kein anderes Modell hat die vollständige Kette gelöst.) Das stimmte schon nach wenigen Wochen nicht mehr, als Ende April die Ergebnisse von GPT-5.5 erschienen, und bis zum 23. Juli hatten vier Modelle mit geschlossenen und eines mit offenen Gewichten sie gelöst.
• „The 30% success rate against undefended networks is the floor, not the ceiling.“ (Die Erfolgsquote von 30 % gegen unverteidigte Netzwerke ist die Untergrenze, nicht die Obergrenze.) Das hat sich bestätigt, die Zahl aber ist veraltet: Der neuere Checkpoint von Mythos Preview erreichte im Mai 6 von 10.
• Cooling Tower. Ich schrieb, Mythos sei an der OT-Umgebung „failed“ (gescheitert), und zog Schlüsse über ungleich verteilte Fähigkeiten. Ein neuerer Checkpoint löste sie einen Monat später in 3 von 10 Versuchen.
• Breunigs Review-Phase. Ich beschrieb sie als Erkennung von „known bug classes“ (bekannten Fehlerklassen). Seine Worte lauten „Document, refactor, and other gardening tasks“ (Dokumentieren, Refaktorieren und andere Pflegearbeiten).
• „Or they lose by default.“ (Oder sie verlieren automatisch.) Diese Formulierung stammte von mir. Breunig schrieb „Hopefully you keep trying longer than your attackers.“ (Hoffentlich halten Sie länger durch als Ihre Angreifer.)
• LiteLLM und Axios. Ich beschrieb sie als „cases where vulnerabilities persisted in widely-used libraries“ (Fälle, in denen Schwachstellen in weit verbreiteten Bibliotheken fortbestanden). Es waren Kompromittierungen der Lieferkette, und Breunig erwähnte sie für einen anderen Punkt: das Argument, nach diesen Schreckmomenten Abhängigkeiten mit Coding-Agenten neu zu schreiben.
• Zwei Quellenangaben. Die Fußnoten nannten falsche Titel für den Vortrag von Nicholas Carlini und für Anthropics Bericht zu Mythos Preview.

FAQ

Was bedeutet „Cybersicherheit ist Proof of Work“?

Es ist Drew Breunigs Formel für einen Ausgabenwettlauf: „to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them“ (um ein System zu härten, müssen Sie mehr Tokens in das Aufspüren von Exploits stecken, als Angreifer für deren Ausnutzung ausgeben). Wenn automatisierte Exploit-Suche umso mehr findet, je mehr man ausgibt, hängt Sicherheit davon ab, den Angreifer zu überbieten, so wie ein Proof-of-Work-System Erfolg an Rechenleistung bindet.²

Wie viele KI-Modelle können die Netzwerkangriffssimulation von AISI abschließen?

Laut dem Bericht von AISI und CAISI vom 23. Juli 2026 hatten vier öffentlich veröffentlichte Modelle mit geschlossenen Gewichten und ein Modell mit offenen Gewichten, Kimi K3, „The Last Ones“ abgeschlossen. Die fähigsten schafften das in 6 und 7 von 10 Versuchen, Kimi K3 in 1 von 10.⁷

Was kostet ein KI-Cyberangriff pro Durchlauf?

Für einen Durchlauf, der die Umgebung abgeschlossen hat, gibt es keinen veröffentlichten Preis. Breunigs 12.500 Dollar pro Versuch waren eine Schätzung, die ein Budget von 100M Tokens zum Output-Tarif von Mythos Preview bepreiste. Die von AISI bepreisten Durchläufe mit 100M Tokens kamen auf etwa 85 Dollar für Opus 4.5 und 4.6 und geschätzte 46 Dollar für GLM-5.2, und keines davon schloss die Umgebung ab.²⁶

Heißt das, dass KI in ein verteidigtes Netzwerk eindringen kann?

Das behauptet AISI nicht. Seine Umgebungen haben keine aktiven Verteidiger, keine Abwehrwerkzeuge und keine Strafe für ausgelöste Alarme, und sie beginnen nach dem initialen Zugriff. AISI zufolge zeigen die Ergebnisse Fähigkeiten gegen „small, weakly defended and vulnerable enterprise systems“ (kleine, schwach verteidigte und verwundbare Unternehmenssysteme).¹⁷

Was sollte ein Team zuerst tun?

Die Zeit zwischen einem veröffentlichten Fix und seinem Deployment verkürzen, denn aus einem öffentlichen Fix einen Exploit zu machen, ist inzwischen billig, und die Grundlagen pflegen, die AISI aufzählt: Sicherheitsupdates, Zugriffskontrollen, sichere Konfiguration und Logging. Danach automatisierte Exploit-Suche in den Release-Prozess aufnehmen, mit einem Budget, das sich danach richtet, was das System schützt.¹⁹

Quellen